Análisis de malware e ingeniería inversa
Inteligencia sobre muestras, entornos de detonación y herramientas de análisis estático. Lo que se necesita para pasar de «tenemos algo raro» a un indicador que el SOC pueda usar.
Antes de detonar nada
Una muestra subida a un servicio público es una muestra publicada. Si procede de un incidente de cliente puede contener datos personales, credenciales o identificadores de la organización, y subirla puede constituir por sí sola una brecha notificable. Analice primero en local; el sandbox público es para lo que ya es público.
Muestras e inteligencia
Para saber si lo que tiene delante ya lo ha visto alguien.
MalwareBazaar
MuestrasDe abuse.ch. Repositorio de muestras con etiquetado por familia y API abierta. Es la referencia institucional del sector y la alternativa sensata a los archivos menos gobernados.
ThreatFox
IOCIndicadores de compromiso compartidos, con vinculación a familia. Se integra en MISP sin esfuerzo.
URLhaus
DistribuciónURLs de distribución de malware. Útil para cortar la vía de entrada mientras todavía está activa, que es la única ventana en que sirve de algo.
YARAify
YARAEscaneo de ficheros contra un corpus público de reglas YARA. Ahorra escribir una regla para algo que ya está clasificado.
Malpedia
ReferenciaDel Fraunhofer FKIE. Enciclopedia de familias con bibliografía y nomenclatura reconciliada entre fabricantes. Imprescindible cuando cada informe llama a lo mismo de tres maneras distintas.
Detonación
Comportamiento observado, con las cautelas del aviso de arriba.
ANY.RUN
SandboxSandbox interactiva: se puede pinchar dentro de la máquina mientras corre. Insustituible para cadenas que exigen interacción del usuario, que hoy son casi todas.
Triage
SandboxAnálisis automatizado con extracción de configuración de familias conocidas. Requiere cuenta. Su extracción de configuración ahorra horas de inversión manual.
VirusTotal
AgregadorConocido y mal usado. El veredicto de los motores importa poco; lo que importa son las relaciones, el comportamiento y la telemetría de distribución.
Análisis estático e inversa
Cuando hay que abrirlo.
Ghidra
DesensambladorDe la NSA, gratuito y con descompilador. Ha democratizado la disciplina: lo que antes exigía una licencia de cinco cifras hoy lo hace un becario bien dirigido.
Cutter
DesensambladorInterfaz sobre rizin. Más ligero que Ghidra para un vistazo rápido, y suficiente para la mayoría de triajes.
x64dbg
DepuradorDepurador de Windows en modo usuario. El complemento natural cuando el análisis estático se topa con empaquetado.
CAPA
AutomatizaciónDe Mandiant. Identifica capacidades del binario y las mapea a ATT&CK. Es lo primero que se ejecuta: dice en un minuto si merece la pena abrirlo.
FLOSS
CadenasExtrae cadenas ofuscadas que `strings` no ve. Sorprendentemente eficaz para lo poco que cuesta.
YARA
ReglasEl estándar para describir y cazar familias. Escribir una regla propia y entregarla con el informe es la diferencia entre informar de un incidente y cerrarlo.
Entornos
Para no montarlo cada vez.
REMnux
DistribuciónDistribución Linux con el instrumental de análisis ya montado. Ahorra el día de configuración que nadie tiene cuando hay un incidente encima.
FLARE-VM
DistribuciónEl equivalente en Windows, de Mandiant. Instalable sobre una máquina virtual limpia y aislada, que es la única forma correcta de usarlo.
Última revisión:
Empecemos por el alcance
Una conversación de treinta minutos basta para determinar si el encargo tiene sentido, qué modalidad encaja y qué orden de magnitud tiene. Sin coste y sin compromiso.